2015/11/18 台中市政府教育局資安講座 簡單易用的電腦軌跡資料分析工具 ＠台中東山高中音樂廳 104年度國民中小學資訊網管人員資通安全管理教育研習，310所

1. JASON CHENG - 鄭郁霖
簡單易用電腦軌跡
資料分析工具

2. 講者
勤益科⼤大 :: 電⼦子⼯工程系碩⼠士
靜宜⼤大學 :: EMBA 學分先修班
耀達電腦 :: 研發兼資訊經理
光華⾼高⼯工 :: 資訊科業界講師
軟體⾃自由協會 :: 個⼈人會員
CEH、MCP 認證

3. 1WHY?

4. 資安有多重要？
PHOTO BY TVBS

5. PHOTO BY EXTREMETECH.COM、RAVENFOUNDATION.ORG

6. PHOTO BY WWW.DROPBOX.COM/S/7QBQVATL42BCUZ2/101H.JPG?DL=1
數位證據

7. PHOTO BY WWW.FLICKR.COM/PHOTOS/FINANCIALTIMES/8785445626/SIZES/L/
證據取得

8. PHOTO BY WWW.FLICKR.COM/PHOTOS/57936333@N07/8285850247/SIZES/L/
⼤大海撈針

12. ⺫⽬目標
PHOTO BY WWW.FLICKR.COM/PHOTOS/INSTANTVANTAGE/8363737128/SIZES/L/

13. PHOTO BY WWW.MORGUEFILE.COM/ARCHIVE/DISPLAY/936092
節省開⽀支

14. PHOTO BY WWW.FLICKR.COM/PHOTOS/JZSINR/4129022342/SIZES
快速上⼿手

15. PHOTO BY WWW.DROPBOX.COM/S/LC4HPPDDQSMWM88/92H.JPG?DL=1
不須安裝

16. 時間紀錄
電腦軌跡
節省成本
追查線索
抓住問題

17. 盡在掌握

18. 以下開始，本簡報
含有⼤大量軟體與介
紹，請⼩小⼼心服⽤用。
WARNING

19. 2電腦使⽤用分析

20. 初步分析
證據蒐證
證據擷取保存 證據檢驗分析
結果呈現

21. 保存現場
PHOTO BY WWW.FLICKR.COM/PHOTOS/BOOLEANSPLIT/2358030054/SIZES

22. CloneZilla
完整系統映像檔備份

23. CloneZilla

24. 事件檢視器
資訊⿑齊全，但使⽤用費時

25. EventVwr
慢!

26. WinLogOnView
分析 Windows 登⼊入紀錄

27. WinLogOnView

28. TurnedOnTimesView
分析 Windows 登⼊入使⽤用時間與狀況

29. TurnedOntimesView

30. LastActivityView
分析使⽤用者所有程序、檔案等操作⾏行為

31. LastActivityView

32. LastActivityView

33. BlueScreenView
分析 Windows BSOD 當機詳細資訊

34. BlueScreenView

35. StartBlueScreen
重現 Windows BSOD 當機畫⾯面

36. StartScreenView

37. StartScreenView

38. AppCrashRView
分析應⽤用程式當機詳細資訊

39. AppCrashView

40. InstalledCodec
分析影⾳音解碼器異動紀錄

41. InstalledCodec

42. InstalledCodec

43. RegDllView
分析DLL註冊紀錄

44. RegDllView

45. RegDllView

46. CCleaner
分析系統還原點紀錄

47. CCleaner

48. 3上網⾏行為分析

49. BrowsingHistoryView
分析各⼤大瀏覽器歷史紀錄

50. BrowsingHistoryView

51. BrowsingHistoryView

52. MyLastSearch
分析瀏覽器搜尋列歷史紀錄

53. MyLastSearch

54. IECacheView
MozillaCacheView
OperaCacheView
ChromeCacheView
分析瀏覽器快取查看紀錄

55. *CacheView

56. VideoCacheView
分析瀏覽器影⽚片快取查看紀錄

57. VideoCacheView

58. VideoCacheView

59. FBCacheView
分析瀏覽器 Facebook 快取查看紀錄

60. FBCacheView

61. IECookiesView
MozillaCookiesView
ChromeCookiesView
FlashCookiesView
分析瀏覽器快取查看紀錄

62. *CookiesView

63. 4硬體異動分析

64. DevManView
分析驅動程式異動紀錄

65. DevManView

66. DevManView

67. USBDeview
分析USB裝置異動紀錄

68. USBDeview

69. USBDeview

70. 5檔案異動分析

71. OSFMount
完整備份檔案掛載

72. OSFMount

73. 檔案實際在硬碟的所在地標記

74. 檔案實際在硬碟的所在地標記

75. Recuva
分析檔案異動紀錄

76. Recuva

77. PhotoRec
分析檔案異動紀錄

78. PhotoRec

79. 真實案例

80. Everything
快速尋找檔案名稱與位置

81. Everything

82. Everything

83. AstroGrep
完整尋找檔案內容

84. AstroGrep

85. 6密碼資料分析

86. BulletsPassView
分析星號密碼輸⼊入框資訊

87. BulletsPassView

88. ProduKey
分析作業系統序號資訊

89. ProduKey

90. WebBrowserPassView
分析瀏覽器儲存密碼資訊

91. WebBrowserPassView

92. RouterPassView
分析路由器密碼資訊

93. RouterPassView

94. RouterPassView
• Linksys WRT54GL (With original firmware or
Tomato firmware), WRT54G (only some of them),
WRT160N, WRT320N, and possibly similar models.
• Linksys E5200
• Linksys E2000
• Linksys RV082
• Linksys E2500
• Linksys N1500
• Linksys E900
• Cisco-Linksys E4200
• Cisco Linksys E1000 v2.1
• Edimax BR6204WG, and possibly similar models.
• Siemens ADSL SL2-141, and possibly similar
models.
• Siemens CL-110 PSTN ADSL2+
• Dynalink RTA1025W, and possibly similar models.
• NETGEAR WGT624, WGR614v9, WNR1000v3,
WNR3500L, and possibly other models.
• NETGEAR DEVG2020
• ASUS WL-520g, WL-600g, and possibly similar
models.
• ASUS RT-N10+ , and possibly similar models.
• Asus RT-N56U , and possibly similar models.
• Asus RT-AC66U
• Asus RT-AC68U
• Asus RT-AC68W
• D-Link DIR-655, DIR-300, and possibly similar
models.
• Sanex SA 5100, and possibly similar models.
• Sitecom WL-351, WL-575, WL-312, and possibly
similar models.
• COMTREND 536+ (Only Internet Login)
• US Robotics 9108 ADSL (internet login and admin
login)
• D-Link DSL-2540U/BRU/D ADSL2+, DSL-2650U,
DSL-520B
• D-Link DVA-G3170i/PT
• D-Link DSL-604T
• D-Link G3670B
• D-Link DSL-2640T
• D-Link DSL-G684T
• D-Link DSL-2500U
• D-Link 2740B
• D-Link DIR-615 G2
• D-Link WBR-1310
• D-Link DSL-2543B
• D-Link DI-524
• D-Link DI-624+A
• D-Link DIR-600
• D-Link DIR-300
• D-Link DSL-2780
• D-Link DIR-605L
• TL-WDR4300 N750
• TP-Link TD-8810 ADSL Modem/Router.
• Dynamode R-ADSL-C4-W-G1
• NetComm NB5Plus4 DSL
• Thomson TG580 DSL (only in Hex Dump mode)

95. RouterPassView
• Asus RT-G31
• HuaWei EchoLife HG520
• Huawei Echolife HG510a/HG520s/HG520b/
HG520c
• HuaWei HG526
• HuaWei-3Com Aolynk BR104
• TP-LINK TL-WR841N
• TP-LINK TL-WR841DN
• TP-LINK TL-MR342
• TP-LINK TL-WR340G
• TP-LINK TL-R460
• TP-LINK TL-WR741ND v2.0
• TP-LINK TL-WR700N
• TP-LINK TL-WR740N
• TP-LINK TL-WA801N
• TP-LINK TL-WR541G
• TP-LINK TL-WR1043ND
• TP-LINK TD-W8960N
• TP-Link TL-WR941ND
• TP-Link TL-MR3220
• TP-Link TL-WR642G
• TP-Link TL-WDR3320
• TP-Link TL-WDR3600
• TP-LINK TL-WR720N
• TP-Link TD-W8970
• TP-LINK TD-W8901N
• TP-LINK TD-8816
• TP-LINK TD-W8901G
• TP-LINK TD-W8951ND
• TP-Link TD-8840
• TP-LINK TD-8817
• TP-LINK Archer C2
• TP-LINK Archer D5
• TP-LINK Archer D9
• Belkin N+ (F5D8236uk4)
• Mercury MW54R
• Netgear DG632
• Netgear Wireless Cable Voice Gateway
CG3000/CG3100
• Netgear WNDR4000 (Rev 1)
• Netcomm NB6W
• Aztech DSL605EW
• Comtrend CT-5072T ADSL2+ modem/router
• Small Business RV042
• Intelbras WRN240
• ipTIME N604V
• Linksys WRV200
• Sagem F@ST2404
• ZTE ZXV10
• ZTE ZXHN H108N
• SmartAX MT880a/MT880d/MT882a
• Zyxel AMG1302
• Alcatel Lucent I-240W-A
• LevelOne WBR-3406TX v2

96. Protected Storage PassView
分析已儲存的密碼資訊

97. Protected Storage PassView

98. PstPassView
分析Outlook資料庫檔案密碼資訊

99. PstPassView

100. Network Password
Recovery
分析已儲存的網域認證密碼

101. Network Password Recovery

102. Dualpass
分析撥號網路密碼資訊

103. Dualpass

104. WirelessKeyView
分析無線網路密碼資訊

105. WirelessKeyView

106. Remote Desktop
PassView
分析遠端桌⾯面連線密碼資訊

107. Remote Desktop PassView

108. VNCPassView
分析VNC遠端搖控密碼資訊

109. VNCPassView

110. SniffPass
分析主要通訊協定密碼資訊

111. SniffPass
POP3、IMAP、SMTP、FTP、HTTP

112. 7網路歷史分析

113. archive.org
分析網站歷史過程

114. 時代的眼淚
PHOTO BY WWW.DROPBOX.COM/S/2XSAW5VOTMX5KGX/7H.JPG?DL=1

115. archive.org

116. archive.org

117. archive.org

118. archive.org

119. archive.org

120. archive.org

121. archive.org

122. archive.org

123. archive.org

124. archive.org

125. 9GO!

126. PHOTO BY WWW.MORGUEFILE.COM/ARCHIVE/DISPLAY/936092
0軟體費⽤用無⽀支出

127. PHOTO BY WWW.MORGUEFILE.COM/ARCHIVE/DISPLAY/926464
Fight!

128. DO!
PHOTO BY WWW.FLICKR.COM/PHOTOS/TRYSIL/6885485137/SIZES/L/

129. END
PHOTO BY WWW.IMCREATOR.COM/FREE/THE-ENDLESS-ROAD